CVE-2026-58172: Bypass de lista de IP allow/block no Ocelot via upgrade WebSocket

Visão geral

O Ocelot até a versão 24.1.0, corrigido no commit f156fd4, permite que clientes negados por regras de permissão e bloqueio baseadas em IP contornem essas restrições ao enviar requisições de upgrade WebSocket. O registro no NVD atribui o problema a um ramo do pipeline configurado com MapWhen em OcelotPipelineExtensions.cs que não inclui o SecurityMiddleware.

Impacto

Requisições de endereços IP bloqueados podem ser encaminhadas para serviços downstream quando utilizam o caminho de upgrade WebSocket.
O registro classifica a fraqueza como CWE-288, bypass de autenticação por meio de caminho ou canal alternativo.
As pontuações do CNA são CVSS 3.1 de 9.1 (alto impacto em confidencialidade e integridade, sem impacto em disponibilidade) e CVSS 4.0 de 9.3.

Produtos e versões afetados

Ocelot até a versão 24.1.0, conforme a descrição.
A lista estruturada de versões afetadas no registro está vazia, portanto intervalos exatos de versões não podem ser confirmados com os dados disponíveis.
A correção é referenciada no commit f156fd4. A primeira versão lançada que contém a correção não é informada no registro.

Status de exploração

O registro indica que este CVE não está listado no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00565 (percentil 0,45428), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Atualize o Ocelot para uma build que inclua o commit f156fd4 ou uma versão posterior que o contenha, após confirmar a versão no changelog do projeto.
Até a atualização, não dependa apenas das regras de IP do Ocelot para proteger rotas WebSocket. Aplique restrições na camada de rede à frente dos serviços downstream.
Revise a configuração do pipeline em busca de ramos MapWhen que tratem requisições de upgrade e confirme que aplicam o mesmo middleware de segurança do pipeline principal.

Orientações para detecção

Analise os logs do gateway e dos serviços downstream em busca de requisições de upgrade WebSocket originadas de endereços presentes na lista de bloqueio.
Gere alertas para respostas de upgrade bem-sucedidas a IPs de clientes negados em rotas HTTP comuns.
Correlacione os logs do gateway com os dos serviços downstream para identificar tráfego que possa ter passado pelas verificações do gateway.

Limitações das informações disponíveis

O registro não possui dados estruturados de versões afetadas ou corrigidas.
A versão exata que contém a correção não é informada.
A issue 2403 e o pull request 2406 foram identificados, mas seu conteúdo não foi analisado aqui.
As pontuações e os valores EPSS vêm do registro e podem mudar com o tempo.

Perguntas frequentes

Qual é o problema central deste CVE?

Clientes negados por regras de permissão e bloqueio baseadas em IP podem alcançar serviços downstream enviando requisições de upgrade WebSocket, pois um ramo do pipeline MapWhen omite o SecurityMiddleware.

Quais versões são afetadas?

A descrição indica o Ocelot até a versão 24.1.0. A lista estruturada de versões afetadas no registro está vazia, então os intervalos exatos não podem ser confirmados por ela.

Existe correção?

A descrição referencia o commit de correção f156fd4. O registro não informa a primeira versão lançada que o inclui, então verifique o changelog do projeto antes de atualizar.

Há exploração ativa?

O registro não mostra inclusão no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.